首页 / PYTHON / Python如何防止sql注入

Python如何防止sql注入

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Python如何防止sql注入，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2639字，纯文字阅读大概需要4分钟。

内容图文

前言

web漏洞之首莫过于sql了，不管使用哪种语言进行web后端开发，只要使用了关系型数据库，可能都会遇到sql注入攻击问题。那么在Python web开发的过程中sql注入是怎么出现的呢，又是怎么去解决这个问题的？

当然，我这里并不想讨论其他语言是如何避免sql注入的，网上关于PHP防注入的各种方法都有，Python的方法其实类似，这里我就举例来说说。

起因

漏洞产生的原因最常见的就是字符串拼接了，当然，sql注入并不只是拼接一种情况，还有像宽字节注入，特殊字符转义等等很多种，这里就说说最常见的字符串拼接，这也是初级程序员最容易犯的错误。

首先咱们定义一个类来处理mysql的操作

Python如何防止sql注入 - 文章图片

这个类有问题吗？

答案是：有！

这个类是有缺陷的，很容易造成sql注入，下面就说说为何会产生sql注入。

为了验证问题的真实性，这里就写一个方法来调用上面的那个类里面的方法，如果出现错误会直接抛出异常。 Python如何防止sql注入 - 文章图片

这个方法非常简单，一个最常见的select查询语句，也使用了最简单的字符串拼接组成sql语句，很明显传入的参数 testUrl 可控，要想进行注入测试，只需要在testUrl的值后面加上单引号即可进行sql注入测试，这个不多说，肯定是存在注入漏洞的，脚本跑一遍，看啥结果

(1064, "You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ‘‘t.tips‘‘‘ at line 1")

回显报错，很眼熟的错误，这里我传入的测试参数是

t.tips‘

下面再说一种导致注入的情况，对上面的方法进行稍微修改后 Python如何防止sql注入 - 文章图片

这个方法里面没有直接使用字符串拼接，而是使用了 %s 来代替要传入的参数，看起来是不是非常像预编译的sql？那这种写法能不能防止sql注入呢？测试一下便知道，回显如下

(1064, "You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ‘‘t.tips‘‘‘ at line 1")

和上面的测试结果一样，所以这种方法也是不行的，而且这种方法并不是预编译sql语句，那么怎么做才能防止sql注入呢？

解决

两种方案

1> 对传入的参数进行编码转义

2> 使用Python的MySQLdb模块自带的方法

第一种方案其实在很多PHP的防注入方法里面都有，对特殊字符进行转义或者过滤。

第二种方案就是使用内部方法，类似于PHP里面的PDO，这里对上面的数据库类进行简单的修改即可。

修改后的代码

Python如何防止sql注入 - 文章图片

这里 execute 执行的时候传入两个参数，第一个是参数化的sql语句，第二个是对应的实际的参数值，函数内部会对传入的参数值进行相应的处理防止sql注入，实际使用的方法如下

preUpdateSql = "UPDATE `article` SET title=%s,date=%s,mainbody=%s WHERE id=%s"

mysql.insert(preUpdateSql, [title, date, content, aid])

这样就可以防止sql注入，传入一个列表之后，MySQLdb模块内部会将列表序列化成一个元组，然后进行escape操作。

Python如何防止sql注入

标签：原因 src %s 防止最简测试元组漏洞 php

本文系统来源：https://www.cnblogs.com/programmer123/p/11738623.html

内容总结

以上是互联网集市为您收集整理的Python如何防止sql注入全部内容，希望文章能够帮你解决Python如何防止sql注入所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/514176.html

来源：【匿名】

【上一篇】linux python 安装 pymssql 【下一篇】浅谈PHP运行Python脚本的方法

更多 ►

【Python如何防止sql注入】教程文章相关的互联网学习教程文章

python-代码是通过uc浏览器，对php网站的sql注入吗？

代码请看：http://sebug.net/vuldb/ssvid-87115?from=timeline&isappinstalled=0还有get_authcode算法不知怎么搞到的，求解答？回复内容：代码请看：http://sebug.net/vuldb/ssvid-87115?from=timeline&isappinstalled=0还有get_authcode算法不知怎么搞到的，求解答？首先要解释一下什么是注入（inject），因为动态网站多少会涉及到数据库操作，如果我有一个页面atricle.php 它需要获取一个参数id -> article.php?cat=recent 网站后...

django如何避免sql注入【图】

什么是SQL注入？所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出...

Python防止sql注入方法介绍

前言web漏洞之首莫过于sql了，不管使用哪种语言进行web后端开发，只要使用了关系型数据库，可能都会遇到sql注入攻击问题。那么在Python web开发的过程中sql注入是怎么出现的呢，又是怎么去解决这个问题的？当然，我这里并不想讨论其他语言是如何避免sql注入的，网上关于PHP防注入的各种方法都有，Python的方法其实类似，这里我就举例来说说。起因漏洞产生的原因最常见的就是字符串拼接了，当然，sql注入并不只是拼接一种情况，还有...

详解防止sql注入的python方法

SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。下面这篇文章主要给大家介绍了关于Python中防止sql注入的方法，需要的朋友可以参考下。前言大家应该都知道现在web漏洞之首莫过于sql了，不管使用哪种语言进行web后端开发，只要使用了关系型数据库，可能都会遇到sql注入攻击问题。那么在Python web开发的过程中sql注入是怎么出...

使用Python如何防止sql注入的方法

Python中防止sql注入的方法

前言大家应该都知道现在web漏洞之首莫过于sql了，不管使用哪种语言进行web后端开发，只要使用了关系型数据库，可能都会遇到sql注入攻击问题。那么在Python web开发的过程中sql注入是怎么出现的呢，又是怎么去解决这个问题的？当然，我这里并不想讨论其他语言是如何避免sql注入的，网上关于PHP（博主注：据说是世界上最屌的语言）防注入的各种方法都有，Python的方法其实类似，这里我就举例来说说。起因漏洞产生的原因最常见的就是字...

Pyhton中防止SQL注入的方法

代码如下: c=db.cursor() max_price=5 c.execute("""SELECT spam, eggs, sausage FROM breakfastWHERE price < %s""", (max_price,))注意，上面的SQL字符串与后面的tuple之间的分隔符是逗号，平时拼写SQL用的是%。如果按照以下写法，是容易产生SQL注入的：代码如下: c.execute("""SELECT spam, eggs, sausage FROM breakfastWHERE price < %s""" % (max_price,))这个和PHP里的PDO是类似的，原理同MySQL Prepared Statements。 Pyt...

Python编写SQL注入工具(2)

coding=gb2312 import urllib import string#定义Access注入函数 class AccessInject():def __init__(self,url):self.url=urlself.tableNames=[]self.cloumnNames=[]self.length=0#定义获取表名的函数,使用文件猜解的方式#主要SQL语句:.and exists (select * from 数据库表名)def getTableName(self):n=0tablefile = open("table.txt")for line in tablefile.readlines():line = string.strip(line)sql = string.join([‘%20and%20...

Python编写SQL注入工具(3)

coding:gb2312 import urllib import string import binascii import reclass mysqlInject():def __init__(self,url):self.db=‘database()‘self.url=url #待检测的网址self.dblen=0 #数据库的长度self.counts=0 #字段数self.tables=[] #表self.dbname=‘‘# 检测数据库的版本def judgeVersion(self):page=urllib.urlopen(self.url).read()sql=string.join([self.url,"%20and%20mid(version(),1,1)=523%"],‘‘)pagex=urllib.ur...

Python编写SQL注入工具(1)【代码】

第一部分:注入点测试模块(injectTest.py)#coding=gb2312 import urllib import os import string from re import searchclass injectTest():def __init__(self,url=‘‘):self.url=url #待检测网址,默认为空self.a=‘%20and%201=1‘ #检测语句self.b=‘%20and%201=2‘self.urls=[] #存在注入的urls#检测单个网址的函数def judgeUrl(self):page=urllib.urlopen(self.url).read()pagea=urllib.urlopen(self...

python之MySQL学习——防止SQL注入（参数化处理）

import pymysql as ps2 3 # 打开数据库连接4 db = ps.connect(host=‘localhost‘, user=‘root‘, password=‘123456‘, database=‘test‘, charset=‘utf8‘)5 6 # 创建一个游标对象7 cur = db.cursor()8 9 # 参数化处理 10 sql = "INSERT INTO USER(NAME,PASSWORD) VALUES(%s,%s)" 11 12 cur.execute(sql, (‘小黑‘, ‘123456‘)) 13 14 print("OK") 15 16 # 提交事务(这个一定要主动提交，不然在数据库中操作增、删结果不...

python中sql注入

coding:utf-8 from pymysql import connect #连接数据库 conn= connect(host=‘localhost‘,port = 3306,user=‘root‘,passwd=‘root‘,db =‘ca‘,) #创建操作游标,创建了mysql的操作链接 a=conn.cursor() #设置字符集为Utf-8 a.execute(‘set names utf8‘) 方法一 format方式 sql=‘insert into tb1(name,age,phone) values({0},{1},{2})‘.format("7",54,"1566456465") a.execute(sql)方法一format方式sql=‘insert into tb1(...

Python中如何防止sql注入【图】

sql注入中最常见的就是字符串拼接，研发人员对字符串拼接应该引起重视，不应忽略。错误用法1：sql = "select id, name from test where id=%d and name=‘%s‘" %(id, name) cursor.execute(sql)错误用法2：sql = "select id, name from test where id="+ str(id) +" and name=‘"+ name +"‘" cursor.execute(sql)正确用法1：args = (id, name) sql = "select id, name from test where id=%s and name=%s" cursor.execute(sql, a...

Python--sql注入【代码】

import pymysqlconn = pymysql.connect(host=‘211.149.218.16‘, user=‘jxz‘, password=‘123456‘, db=‘jxz‘, port=3306, charset=‘utf8‘)cur = conn.cursor(cursor=pymysql.cursors.DictCursor)name = ‘zdq‘sex = 0cur.execute(‘select * from bt_stu where real_name=%s and sex=%s‘, (name, sex)) # 可以防止sql注入print(cur.fetchall())def test(a, b): print(a, b)li = [1, 2]test(*li)d = {‘a‘: ‘123‘,...